Un piano di trattamento è un insieme tracciato di azioni usato per ridurre, trasferire o accettare un rischio di sicurezza. Trasforma una voce del registro dei rischi in attività: chi farà cosa, entro quando, con quale budget e quale rischio residuo rimane dopo la modifica. Nei programmi di governance, è il ponte pratico tra l'identificazione di un problema e la dimostrazione che esso è gestito.
I piani di trattamento sono importanti perché il rischio informatico è utile solo quando porta a decisioni. I difensori li usano per dare priorità alle attività di patching, alla segmentazione, ai miglioramenti dei backup, alle modifiche ai fornitori o alla copertura assicurativa. Negli attacchi reali, un piano di trattamento aiuta a mostrare se una debolezza nota era già stata programmata per essere mitigata, se il rischio era stato accettato dalla dirigenza e se le azioni in ritardo erano state ignorate. In quadri come NIS2, i piani di trattamento creano anche responsabilità: collegano le correzioni tecniche ai servizi aziendali, alla titolarità e a prove che i dirigenti possono esaminare.